What is the AI Evidence Chain™?

The AI Evidence Chain™ is RaaSify.AI's seven-stage framework for producing audit-ready evidence of AI governance. The stages are Business Intent, Data, Build, Validation, Deployment, Monitoring and Incident Response. It was created by Ma Cherie Cortez, PhD, and is a registered trademark (BOIP Reg. No. 1551399).

What is the difference between an AI audit trail and AI logging?

Logging records what happened inside a system. An audit trail also records the decisions people made around it: why the system was adopted, who approved it, how it was tested and what was done after an incident. Logs are one input to the Monitoring stage. They are not the whole trail.

Does a small business need an AI audit trail?

Yes, if AI influences decisions about people, such as hiring, lending or customer service, or if a customer, investor, partner or board member asks how you govern AI. Legal duties under the EU AI Act depend on the risk tier of each system and on whether you are its provider or deployer. A basic trail is still worth keeping for lower-risk tools, because it is what you show when someone asks.

How long should AI records be kept?

For high-risk systems under the EU AI Act, automatically generated logs must be kept for at least six months (Article 19 for providers, Article 26(6) for deployers). Providers must keep technical documentation for 10 years (Article 18). Other laws, contracts and sector rules can require longer. Logs often contain personal data, so the retention period also has to respect data protection law.

Do I need software to build an AI audit trail?

No. A spreadsheet and a shared folder are enough for a company with a handful of AI tools. Governance platforms earn their cost when you have many systems, several teams, or systems you build yourself. Decide after the inventory, when you know what you have.

Do I need a consultant to build an AI audit trail?

Not always. If you use a handful of low-risk AI tools and someone inside the company has time to own the work, you can start on your own. Outside help is worth it when AI influences decisions about people, when a customer, auditor or regulator has asked for evidence, when you face a deadline, or when nobody in-house can judge what counts as sufficient evidence. A fixed-scope assessment is usually enough to find out which case you are in.

Should I map to the EU AI Act, ISO/IEC 42001 or the NIST AI RMF?

They do different jobs. The EU AI Act is law for organizations that provide or use AI systems in the EU. ISO/IEC 42001 is a certifiable management system standard. The NIST AI RMF is a voluntary framework from the US National Institute of Standards and Technology. The AI Evidence Chain™ maps to all three, so one set of evidence can serve whichever applies to you.

When do the EU AI Act high-risk obligations apply?

Stand-alone high-risk systems listed in Annex III must comply by 2 December 2027. High-risk AI embedded in regulated products under Annex I must comply by 2 August 2028. Both dates were moved by the Digital Omnibus on AI in 2026. The delay does not cover prohibited practices, general-purpose AI model obligations or the general transparency rules.

Tekoälyn hallinta

Tekoälyyn perustuvan tarkastusketjun rakentaminen: 7-vaiheinen tekoälyn todisteketju™

Rakas Cortez
6. lokakuuta 2026

Kuinka rakentaa tekoälyyn perustuva tarkastusketju | AI Evidence Chain™

Tekoälyyn perustuvan tarkastusketjun rakentaminen: 7-vaiheinen tekoälyyn perustuva todisteketju™ pienille yrityksille

Tekoälykäytäntö kertoo, mitä pitäisi tapahtua. Auditointiketju todistaa, mitä tehtiin.

Lyhyt vastaus: Tekoälytarkastusketju on joukko tietoja, joiden avulla tiimisi ulkopuolinen henkilö voi rekonstruoida tekoälyjärjestelmän hyväksymisprosessin, sen käyttämät tiedot, testausmenetelmät, käyttöönoton ja toiminnan sen jälkeen. AI Evidence Chain™ on RaaSify.AI:n seitsemänvaiheinen viitekehys tarkastusketjun rakentamiseen: liiketoimintatarkoitus, data, rakentaminen, validointi, käyttöönotto, valvonta ja tapahtumiin reagointi.

Suurin osa tekoälyn auditointipolkuja koskevista ohjeista on kirjoitettu yrityksille, joilla on alustatiimi. Niissä puhutaan muuttumattomista lokivarastoista, kryptografisista tiivisteistä ja korrelaatiotunnisteista. Tästä on hyötyä tekoälytuotteita rakennettaessa. Se ei auta 40 hengen yritystä, joka käyttää Microsoft Copilotia, ChatGPT:tä ja tekoälyominaisuuksia HR- ja CRM-ohjelmistoissaan.

Tämä opas on tarkoitettu kyseiselle yritykselle. Se kattaa tilintarkastajan, sääntelyviranomaisen tai asiakkaan pyynnöt, seitsemän testaamaansa vaihetta, missä tarkastusketjut yleensä katkeavat ja miten tarkistaa, kestäisivätkö omasi kyseenalaistamisen.

Mikä on tekoälyn tarkastusketju?

Tekoälytarkastusketju on dokumentoitu todistusaineisto, jota säilytetään koko tekoälyjärjestelmän elinkaaren ajan ja joka vastaa viiteen kysymykseen:

Mitä järjestelmä tekee ja miksi käytämme sitä?
Mitä tietoja syötetään ja saammeko käyttää niitä?
Miten se konfiguroitiin ja testattiin ennen kuin ihmiset luottivat siihen?
Kuka sen hyväksyi, ja kuka on vastuussa sen tulosten tarkistamisesta?
Mitä on tapahtunut sen jälkeen, mukaan lukien milloin kaikki meni pieleen?

Auditointiketju on laajempi kuin loki. Loki tallentaa järjestelmän sisäiset tapahtumat. Auditointiketju tallentaa myös siihen liittyvät ihmisten tekemät päätökset: hyväksynnän, testien kuittauksen, kuukausittaisen tarkastuksen ja tapahtumien seurannan.

Yrityksellä voi olla täydelliset lokit ilman tarkastusketjua, koska kukaan ei voi osoittaa, kuka päätti järjestelmän olevan käyttökelpoinen.

Miksi tekoälypolitiikka ei riitä?

Politiikka on aieilmoitus. Sääntelyviranomaiset, tilintarkastajat ja asiakkaat testaavat näyttöä siitä, että käytäntöä on noudatettu.

Kysymys kuulostaa yleensä tältä: "Näytä minulle, miten tämä tekoälyjärjestelmä tekee päätöksiä, ja todista, että valvot sitä." Politiikka-asiakirja ei voi vastata siihen. Päivätty hyväksyntä, testiraportti ja kolmen kuukauden tarkastusmuistiinpanot voivat.

Kolme ryhmää kysyy tätä kysymystä:

Sääntelyviranomaiset. EU:n tekoälylaki edellyttää teknistä dokumentointia, tietojen tallentamista, ihmisen suorittamaa valvontaa ja seurantaa korkean riskin tekoälyjärjestelmissä. Erillisten korkean riskin järjestelmien osalta nämä velvoitteet tulevat voimaan 2. joulukuuta 2027 sen jälkeen, kun tekoälyä koskeva digitaalinen omnibus-asetus siirsi päivämäärää 2. elokuuta 2026.
Tilintarkastajat. ISO/IEC 42001 on johtamisjärjestelmästandardi. Sertifiointi perustuu dokumentoituun tietoon, sisäiseen auditointiin ja johdon tarkasteluun, ei pelkästään käytäntöön.
Asiakkaat. Suuremmat asiakkaat ja kumppanit alkavat kysyä, miten tekoälyä hallitaan, ennen kuin he allekirjoittavat sopimuksen. Luottavainen vastaus tarvitsee jotain näkyvää.

Lisäaika ei ole tauko. Se on tilaisuus kerätä todisteita ennen kuin joku pyytää niitä.

Mikä on tekoälyn todisteketju™?

AI Evidence Chain™ on seitsemänvaiheinen tekoälyn hallintakehys, jonka on luonut RaaSify.AI:n perustaja, PhD Ma Cherie Cortez. Se luo jäljitettävän tallenteen tekoälyjärjestelmän koko elinkaarelle, jotta jokaista tekoälyn tukemaa päätöstä voidaan puolustaa sääntelyviranomaiselle, tilintarkastajalle tai hallitukselle.

Sitä kutsutaan ketjuksi, koska jokainen vaihe riippuu edellisestä. Valvontaraportilla on vain vähän merkitystä, jos kukaan ei pysty osoittamaan, mihin järjestelmään on hyväksytty toimintatapa. Yksi puuttuva lenkki katkaisee polun.

Seitsemän vaihetta ovat:

Liiketoiminnan tarkoitus. Miksi kukin tekoälyjärjestelmä on olemassa, mihin sitä käytetään, kuka sen omistaa ja kuka sen hyväksyi. Tämä kattaa kaikki käytössä olevat järjestelmät, mukaan lukien varjotekoälyn ja jo maksamiesi ohjelmistojen tekoälyominaisuudet.
Data. Mitä tietoja syötetään kuhunkin järjestelmään, mistä ne ovat peräisin (tietojen alkuperä) ja onko niiden käyttö laillista ja asianmukaista.
Rakentaa. Järjestelmän rakentaminen tai konfigurointi sekä kyseisen konfiguroinnin tiedot.
Validointi. Miten järjestelmän tarkkuus, virheettömyys ja turvallisuus testattiin ennen käyttöönottoa, ja tulokset, jotka voit esittää.
Käyttöönotto. Kuka hyväksyi käyttöönoton, millä ehdoilla ja mitkä kaiteet ja ihmisen valvonta olivat käytössä.
Seuranta. Miten tosielämän käyttäytymistä seurataan julkaisun jälkeen ja kuka sitä tarkistaa.
Tapahtumavaste. Mitä tapahtuu, kun järjestelmä aiheuttaa ongelman: kuka toimii, kenelle kerrotaan ja mitä tallennetaan.

Useimmat organisaatiot pystyvät kuvailemaan muutamia näistä keskustelun vaiheista. Hyvin harvat pystyvät esittämään näyttöä kaikista seitsemästä. Auditointiketju kuroo umpeen kuilua hallinnon tuntemuksen ja sen todistamisen välillä.

Missä tekoälyn tarkastusketjut yleensä katkeavat?

Jokainen vaihe vastaa yhteen kysymykseen, jonka tilintarkastaja, sääntelyviranomainen tai asiakas voi esittää. Taulukko näyttää kysymyksen ja miltä aukko tyypillisesti näyttää pienessä yrityksessä.

AI Evidence Chain™ yhdistää jokaisen vaiheen asiaankuuluviin EU:n tekoälylain artikloihin, ISO/IEC 42001 -standardin lausekkeisiin ja NIST:n tekoälyn riskienhallintakehyksen toimintoihin, joten yksi todistesarja palvelee kaikkia kolmea. AI Evidence Chain™ -auditointi tuottaa tämän lausekekohtaisen kartoituksen, jota sovelletaan omiin järjestelmiisi.

Miten tekoälyn auditointiketju rakennetaan?

Rakennat tekoälylokin järjestelmä kerrallaan tuottamalla näyttöä jokaisesta seitsemästä vaiheesta järjestyksessä. Yhteenvetona:

Valitse yksi järjestelmä. Aloita tekoälyjärjestelmästä, joka vaikuttaa eniten asiakkaisiisi tai henkilöstöösi.
Kirjaa ylös liiketoimintatarkoitus. Miksi järjestelmä on olemassa, kuka sen omistaa ja kuka sen hyväksyi.
Jäljitä tiedot. Mitä sinne menee, mistä se tulee ja saatko sitä käyttää.
Dokumentoi rakennus. Miten järjestelmä on konfiguroitu ja mitä on muuttunut julkaisun jälkeen.
Säilytä todiste vahvistuksesta. Miten sitä testattiin ennen kuin ihmiset luottivat siihen.
Kirjaa käyttöönottopäätös. Kuka hyväksyi käyttöönoton, millä ehdoilla ja kuka valvoo tulosta.
Seuraa ja reagoi. Tarkastele järjestelmän toimintaa kiinteällä rytmillä ja kirjaa muistiin, mitä tapahtuu, kun jokin menee pieleen.

Toista sitten seuraavalle järjestelmälle. Se, mikä katsotaan riittäväksi todisteeksi kussakin vaiheessa, riippuu järjestelmän riskitasosta ja siitä, mitkä säännöt koskevat sinua. Suurin osa harkinnasta perustuu siihen.

Voiko pieni yritys rakentaa tekoälyyn perustuvan auditointiketjun ilman vaatimustenmukaisuustiimiä?

Kyllä. Pieni yritys ei tarvitse perustamisensa jälkeen erillistä vaatimustenmukaisuusosastoa tai lokikirjausalustaa. Se tarvitsee kolme asiaa: nimetyn omistajan jokaiselle tekoälyjärjestelmälle, yhden paikan, jossa tietueet sijaitsevat, ja kuukausittaisen tarkastuksen. Nämä tekoälyn hallinnan KPI:t antavat tarkastukselle mitattavaa.

Ennen kuin rakennat mitään, selvitä, missä tilanteessa olet. Valitse se tekoälyjärjestelmä, jolla on suurin vaikutus asiakkaisiisi tai henkilöstöösi, ja vastaa seitsemään kysymykseen, yksi kutakin vaihetta kohden:

Voitko nimetä kuka sen hyväksyi ja miksi yritys käyttää sitä?
Tiedätkö, mitä tietoja siihen menee, ja saatko käyttää tietoja tällä tavalla?
Voisitko näyttää, miten se on konfiguroitu tänään ja mikä on muuttunut julkaisun jälkeen?
Onko olemassa tietoja siitä, miten sitä testattiin ennen kuin ihmiset luottivat siihen?
Onko nimetty henkilö vastuussa sen tulosteen tarkistamisesta?
Onko kukaan arvioinut sen toimintaa viimeisen kolmen kuukauden aikana?
Jos se aiheuttaa ongelmia huomenna, tietävätkö kaikki, mitä tehdä ja mihin se tallennetaan?

Jokainen "ei" on rikkinäinen lenkki ketjussa. Useimmat yritykset löytävät useita. Monet löytävät myös enemmän tekoälyä kuin odottivat: organisaatiot löytävät tyypillisesti 30–40 % enemmän tekoälyjärjestelmiä kuin ne luulivat niillä olevan, kun asianmukainen inventaario on tehty.

Mistä tiedät, että tekoälyn tarkastusketjusi toimii?

Suorita kuuden kuukauden testi. Valitse yksi tekoälyn tukema päätös kuuden kuukauden takaa ja yritä rekonstruoida se pelkästään tietueiden perusteella kysymättä keneltäkään, mitä he muistavat.

Sinun tulisi pystyä osoittamaan, mitä järjestelmää käytettiin, miten se oli määritetty tuolloin, mitä tietoja siinä oli, kuka hyväksyi sen kyseiseen käyttöön, kuka tarkisti tulosteen ja menikö jotain pieleen jälkikäteen. Jokainen kysymys, johon et pysty vastaamaan tietueesta, on rikkinäinen linkki.

Viisi virhettä rikkoo useimmat polut:

Työkalun ostaminen ennen inventaarion tekemistä. Lokikirjausalusta ei voi tallentaa järjestelmiä, joista kukaan ei tiedä.
Todisteiden säilyttäminen postilaatikoissa ja otoksissa. Jos hyväksyntä on yhden henkilön sähköpostissa, se katoaa heidän sähköpostiinsa kirjauduttua.
Tallennetaan vain läpäisseet testit. Epäonnistuneet testit ja niitä seuranneet korjaukset ovat vahvin todiste validoinnin aitoudesta.
Toimittajan tekoälyn käsittely toimittajan ongelmana. EU:n tekoälylain mukaan yrityksellä, joka käyttää korkean riskin järjestelmää, on omat velvollisuutensa käyttöönottajana, mukaan lukien ihmisen suorittama valvonta, seuranta ja lokien ylläpito.
Tekee sen kerran. Jälki, joka pysähtyy laukaisupäivänä, todistaa, että järjestelmää hallittiin laukaisupäivänä.

Usein kysytyt kysymykset

Mikä on tekoälyn todisteketju™?

AI Evidence Chain™ on RaaSify.AI:n seitsemänvaiheinen viitekehys auditointivalmiin todisteen tuottamiseen tekoälyn hallinnasta. Vaiheet ovat liiketoimintatarkoitus, data, rakentaminen, validointi, käyttöönotto, valvonta ja tapahtumavaste. Sen on luonut tohtori Ma Cherie Cortez, ja se on rekisteröity tavaramerkki (BOIP-rek.nro 1551399).

Mitä eroa on tekoälyn auditointipolulla ja tekoälyn lokikirjauksella?

Lokitiedostot tallentavat järjestelmän sisällä tapahtuneet tapahtumat. Tarkastusketju tallentaa myös ihmisten tekemät päätökset: miksi järjestelmä otettiin käyttöön, kuka sen hyväksyi, miten sitä testattiin ja mitä tehtiin tapahtuman jälkeen. Lokit ovat yksi valvontavaiheen syöte. Ne eivät ole koko seurantaketju.

Tarvitseeko pienyritys tekoälyyn perustuvaa auditointiketjua?

Kyllä, jos tekoäly vaikuttaa ihmisiä koskeviin päätöksiin, kuten palkkaamiseen, lainanantoon tai asiakaspalveluun, tai jos asiakas, sijoittaja, kumppani tai hallituksen jäsen kysyy, miten hallinnoit tekoälyä. EU:n tekoälylain mukaiset lakisääteiset velvollisuudet riippuvat kunkin järjestelmän riskitasosta ja siitä, oletko sen tarjoaja vai käyttöönottaja. Perushistoriaa kannattaa silti pitää yllä myös vähemmän riskialttiiden työkalujen kohdalla, koska se on se, mitä näytät, kun joku kysyy.

Kuinka kauan tekoälyn tietoja tulisi säilyttää?

EU:n tekoälylain mukaisten korkean riskin järjestelmien osalta automaattisesti luotuja lokeja on säilytettävä vähintään kuusi kuukautta (19 artikla palveluntarjoajille, 26(6) artikla käyttöönottajille). Palveluntarjoajien on säilytettävä teknistä dokumentaatiota 10 vuotta (18 artikla). Muut lait, sopimukset ja toimialakohtaiset säännöt voivat edellyttää pidempää säilytysaikaa. Lokit sisältävät usein henkilötietoja, joten säilytysajan on myös oltava tietosuojalainsäädännön mukainen.

Tarvitsenko ohjelmistoa tekoälyn auditointipolun rakentamiseen?

Ei. Laskentataulukko ja jaettu kansio riittävät yritykselle, jolla on kourallinen tekoälytyökaluja. Hallintoalustat ansaitsevat kustannuksensa, kun sinulla on useita järjestelmiä, useita tiimejä tai järjestelmiä, jotka rakennat itse. Päätä vasta inventaarion jälkeen, kun tiedät, mitä sinulla on.

Tarvitsenko konsultin tekoälyyn perustuvan auditointiketjun rakentamiseen?

Ei aina. Jos käytät muutamia vähäriskisiä tekoälytyökaluja ja jollakulla yrityksen sisällä on aikaa ottaa työ vastuulleen, voit aloittaa omin päin. Ulkopuolinen apu on kannattavaa, kun tekoäly vaikuttaa ihmisiä koskeviin päätöksiin, kun asiakas, tilintarkastaja tai sääntelyviranomainen on pyytänyt todisteita, kun edessäsi on määräaika tai kun kukaan yrityksen sisällä ei osaa arvioida, mikä on riittävä todiste. Kiinteän laajuuden arviointi riittää yleensä selvittämään, missä tapauksessa olet.

Pitäisikö minun valita EU:n tekoälylaki, ISO/IEC 42001 -standardi vai NIST:n tekoälyvaatimusten mukainen toiminto?

Ne tekevät erilaisia tehtäviä. EU:n tekoälylaki on laki organisaatioille, jotka tarjoavat tai käyttävät tekoälyjärjestelmiä EU:ssa. ISO/IEC 42001 on sertifioitava hallintajärjestelmästandardi. NIST AI RMF on Yhdysvaltain kansallisen standardien ja teknologian instituutin vapaaehtoinen kehys. AI Evidence Chain™ kattaa kaikki kolme, joten yksi todistesarja voi toimia riippumatta siitä, mikä niistä sopii sinulle.

Milloin EU:n tekoälylain korkean riskin velvoitteita sovelletaan?

Liitteessä III lueteltujen itsenäisten korkean riskin järjestelmien on oltava vaatimusten mukaisia 2. joulukuuta 2027 mennessä. Liitteen I mukaisiin säänneltyihin tuotteisiin upotetun korkean riskin tekoälyn on oltava vaatimusten mukaisia 2. elokuuta 2028 mennessä. Molempia päivämääriä siirrettiin tekoälyä koskevalla digitaalisella omnibus-asetuksella vuonna 2026. Lykkäys ei koske kiellettyjä käytäntöjä, yleiskäyttöisiä tekoälymallivelvoitteita eikä yleisiä avoimuussääntöjä.

Mistä sinun pitäisi aloittaa?

Aloita seitsemän kysymyksen itsearvioinnilla ja kuuden kuukauden testillä yhdellä järjestelmällä. Jos niissä näkyy puutteita tai jos haluat mieluummin, että puutteet löydetään puolestasi, AI Evidence Chain™ -auditointi tekee sen.

Kyseessä on neljän viikon mittainen, rajatun laajuinen tekoälyjärjestelmien arviointi kaikissa seitsemässä vaiheessa, jotka on yhdistetty EU:n tekoälylakiin, ISO/IEC 42001 -standardiin ja NIST:n tekoälyn RMF-kehykseen. Saat täydellisen tekoälyinventaarion, vaiheittaisen puuteraportin ja priorisoidun korjaussuunnitelman. Sinulla ei ole velvoitetta jatkaa arviointia jälkikäteen.

Jos tiedät jo, että polku on rakennettava määräaikaan mennessä, 90 päivän hallintosprintti rakentaa sen. Jos se on olemassa ja sitä pitää pitää yllä joka kuukausi, se on tekoälyn hallinta palveluna.

Varaa AI Evidence Chain™ -auditointiarviointipuhelusi

Tietoja kirjoittajasta

Ma Cherie Cortez, PhD, on RaaSify.AI:n perustaja ja AI Evidence Chain™ -järjestelmän luoja. Hänellä on 27 vuoden kokemus IT-johtajuudesta maailmanlaajuisesti, mukaan lukien tekoälyn hallintatyö Philipsillä, AB InBevilla, DLL:llä ja Lloyds Banking Groupilla. Nyt hän soveltaa tätä kokemusta pieniin ja keskisuuriin yrityksiin, jotka valmistautuvat EU:n tekoälylakiin ja ISO/IEC 42001 -standardiin. RaaSify.AI on EXIN-sertifioitu koulutuskumppani.

AI Evidence Chain™ on Ma Cherie Cortezin, PhD, rekisteröity tavaramerkki. BOIP-rekisterinumero 1551399, rekisteröity 25. elokuuta 2026.

Lähteet